AWS Athena Synapse 커넥터 CVE-2026-12283, 의도치 않은 데이터 반환 이슈와 영향 버전 점검
AWS 보안 공지에 따르면 Athena Federated Query의 Azure Synapse 커넥터에서 특정 테이블 이름 처리와 관련된 보안 이슈가 확인됐다. 직접적인 서비스 중단이나 원격 코드 실행이 언급된 사안은 아니지만, 쿼리 결과에 예상하지 않은 데이터가 섞여 반환될 수 있다는 점에서 데이터 조회 경로를 분리해 운영하는 환경이라면 커넥터 버전과 사용 범위를 우선 점검할 필요가 있다.
문제 핵심: Synapse 테이블 이름으로 쿼리 결과가 달라질 수 있는 이슈
이번 이슈는 Athena Query Federation에서 Azure Synapse를 연결할 때 사용하는 오픈소스 Synapse 커넥터와 관련된다. AWS 설명상 Azure Synapse 계정에 접근할 수 있는 사용자가 특수하게 조작된 테이블 이름을 만들고, 이를 Athena Synapse 커넥터를 통해 조회할 경우 원래 의도하지 않은 데이터가 반환될 수 있다.
공지 내용만 보면 공격 성립 조건은 Synapse 측 계정 접근 권한이 전제된다. 따라서 불특정 외부 공격보다는 멀티팀 분석 환경, 외부 데이터 소스 연동 환경, 테스트와 운영 Synapse 자산이 함께 관리되는 환경에서 조회 결과 무결성을 우선 확인하는 것이 현실적인 대응 포인트다.
영향 버전 범위
AWS가 명시한 영향 범위는 v2022.20.1 이상이면서 v2026.19.1 이하인 Synapse 커넥터 버전이다. 운영 중인 Athena Federated Query 구성이 이 범위에 포함되는지 먼저 확인해야 한다.
특히 커넥터가 오픈소스로 주기적으로 배포된다고 안내된 만큼, 과거 표준 배포 템플릿이나 내부 미러, 재사용되는 배포 패키지에 이전 버전이 남아 있는지도 함께 살펴볼 필요가 있다.
운영자가 바로 확인할 항목
첫째, 현재 사용 중인 Athena Federated Query Synapse 커넥터 버전을 식별해 영향 범위 포함 여부를 확인한다. 둘째, Azure Synapse 쪽에서 Athena 연동 대상 계정에 테이블 생성 권한을 가진 사용자나 자동화 계정이 있는지 점검한다.
셋째, 분석 파이프라인이나 운영 보고서가 Athena를 통해 Synapse 데이터를 조회하는 구조라면 최근 쿼리 결과 중 예상과 다른 데이터 혼입 징후가 있었는지 검토한다. 넷째, 과거에 배포한 커넥터 아티팩트, IaC 템플릿, 표준 이미지에 영향 버전이 고정돼 있지 않은지 확인해 재배포 시 동일 버전이 다시 올라가지 않도록 관리하는 것이 좋다.
클라우드·데이터 연동 환경에서의 의미
이 사안은 서버 장애나 네트워크 단절보다는 데이터 조회 정확성과 권한 경계 관리에 더 가깝다. 데이터센터나 서버호스팅 사업자가 직접 쓰는 전용 기능으로 볼 필요는 없지만, 고객 분석 환경을 대신 운영하거나 멀티클라우드 데이터 연동을 지원하는 팀이라면 결과 데이터의 신뢰성과 테넌트 간 권한 분리를 점검하는 계기로 삼을 수 있다.
국내·일본 리전 운영 여부와 무관하게, Athena와 외부 데이터 소스를 연결하는 구조에서는 커넥터 버전 관리와 외부 시스템의 객체 생성 권한 통제가 함께 맞물린다는 점이 이번 공지의 핵심이다.
핵심 포인트
- CVE-2026-12283은 Athena Federated Query의 Azure Synapse 커넥터 관련 이슈다.
- 특수하게 만든 Synapse 테이블 이름을 통해 Athena 조회 시 의도치 않은 데이터가 반환될 수 있다.
- 영향 버전은 v2022.20.1 이상 v2026.19.1 이하로 공지됐다.
- 운영자는 커넥터 버전, Synapse 테이블 생성 권한, 재사용 배포 패키지 잔존 여부를 우선 점검할 필요가 있다.